Guida introduttiva a m0n0wall

Questa documentazione è stata scritta nel gennaio 2004 per fornire alcune bozze di documentazione per il progetto m0n0wall firewall. È stato sostituito dalla documentazione ufficiale del progetto. Dieci anni dopo, m0n0wall stesso è stato sostituito da altri software firewall, in particolare opnSense e pfSense. Questa pagina rimane disponibile solo per scopi storici. (Ottiene ancora colpi…)

Introduzione

Il progetto m0n0wall è un firewall Open Source basato su FreeBSD progettato per l’uso su hardware PC minimo, inclusi dispositivi embedded come le piattaforme hardware Soekris net4501 e net4801, pur fornendo tutte le caratteristiche essenziali delle appliance firewall commerciali. Praticamente tutta la configurazione e l’amministrazione avviene utilizzando un’interfaccia web-based che rende la creazione di un firewall robusto estremamente facile.

L’interfaccia web, sebbene semplice, presuppone una certa comprensione minima sia dell’amministrazione della rete in generale, sia di m0n0wall in particolare. Questa guida è stata scritta per spiegare i passaggi iniziali necessari per ottenere un sistema m0n0wall configurato per fornire i due servizi-la configurazione DHCP per i client e la condivisione della connessione basata su NAT-che sono più utili per una tipica rete domestica.

Questa guida non tenta di fornire informazioni dettagliate sulla configurazione di un firewall. Consigliamo vivamente due libri per conoscere i firewall in modo approfondito:

Firewall e sicurezza Internet: Respingere l’hacker scaltro
Costruire firewall Internet

Importante: Sei responsabile della tua sicurezza di rete. Non ci assumiamo assolutamente alcuna responsabilità per la sicurezza della tua rete, indipendentemente dal fatto che tu segua le istruzioni qui o meno.

Principi generali delle appliance Firewall e NAT

Fondamentalmente, un sistema basato su m0n0wall viene utilizzato per collegare due (o più) reti separate insieme, consentendo a dispositivi come computer e server su entrambe le reti di effettuare connessioni consentite tra loro. Un’appliance basata su m0n0wall può aggiungere connessioni e funzionalità a una rete, ad esempio consentendo a molti sistemi di condividere un singolo indirizzo IP pubblico. Può anche limitare le connessioni ai sistemi sotto il suo controllo, agendo come un tutore per impedire l’accesso non autorizzato dei sistemi interni da parte di estranei.

Ai fini di questa guida semplificheremo le possibilità e discuteremo solo una delle situazioni più comuni in cui viene spesso utilizzato m0n0wall, collegando una rete domestica o di un piccolo ufficio a Internet tramite una connessione a banda larga (dial-up non è discusso qui):

In Figura 1, m0n0wall viene utilizzato per collegare una piccola rete domestica, la LAN, a Internet, che è la più grande WAN di tutti.

]

Prima di iniziare

Prima di iniziare a apportare modifiche alla rete esistente, è molto, molto buona idea documentare la configurazione corrente e funzionante. Se il sistema operativo consente di effettuare un backup della configurazione di rete, farlo ora.

Documentare una configurazione di lavoro è il momento perfetto per raccogliere alcune informazioni importanti. Avere alcuni dettagli specifici sulla tua rete scritti in un unico posto renderà l’installazione e l’attivazione di m0n0wall molto più veloci, oltre a rendere possibile il backup se le cose vanno male.

Il luogo ideale per raccogliere queste informazioni è il kit che il tuo ISP ti ha inviato quando ti sei registrato per la connessione di rete. La maggior parte delle persone file e perdere queste informazioni, ma per fortuna, è possibile ottenere la maggior parte di esso solo aprendo l’utilità di configurazione di rete per un computer client che attualmente ha accesso a Internet:

Le informazioni che vorrai raccogliere sono:

l’Elemento	Client Campo	Esempio
indirizzo IP WAN m0n0wall dispositivo	Indirizzo IP (Mac) indirizzo IP (Win2K)	66.123.45.3
Subnet Mask	Subnet Mask	255.255.255.248
WAN Gateway	Router (Mac) Gateway Predefinito (Win2K)	66.123.45.1
i Server DNS	DNS Server (Mac) Preferito / server DNS Alternativo	66.123.45.2 66.123.45.9

Se il tuo ISP ti ha dato più di un indirizzo IP per la tua rete, dovrai sceglierne uno da dare a m0n0wall. Per semplicità, ti consigliamo di scegliere l’indirizzo IP più basso o più alto assegnato a un sistema client (non a un server). Tutti i tuoi sistemi desktop riceveranno nuovi indirizzi IP “interni”, forniti automaticamente da m0n0wall, quindi scegli l’indirizzo che desideri.

Panoramica della configurazione m0n0wall

La configurazione di un nuovo apparecchio m0n0wall consiste nei seguenti sette passaggi:

1. Hardware setup, compreso il cavo di rete connessioni
2. Avvio e configurazione di minimo m0n0wall parametri tramite la m0n0wall interfaccia della console
3. Configurazione di un client di sistema per la nuova rete, e connettersi a m0n0wall apparecchio tramite l’interfaccia web
4. Cambiare la password di admin
5. Configurare le impostazioni generali per m0n0wall
6. Configurare l’interfaccia LAN
7. Configurare l’interfaccia WAN

Per la maggior parte, è semplicemente necessario inserire le informazioni di base raccolte in precedenza nei posti giusti in m0n0wall. Nessuno di questi passaggi è complicato, e per molte reti è possibile accettare i valori predefiniti, cioè, tutto quello che dovete fare è controllare il passo fuori.

Configurazione hardware

Se si prevede di eseguire m0n0wall sul meraviglioso hardware in stile embedded di Soekris (la serie di dispositivi net4501 o net4801), il processo di configurazione dell’hardware non potrebbe essere più semplice. Questo perché tutte le interfacce di rete sono integrate e m0n0wall le conosce per impostazione predefinita.

Se si prevede di eseguire m0n0wall su un PC standard, è necessario assicurarsi che ci siano abbastanza schede di interfaccia di rete (o interfacce integrate), in modo da poter collegare i cavi necessari al sistema.

In entrambi i casi, si vuole collegare la vostra LAN (probabilmente tramite un cavo Ethernet collegato ad un hub o uno switch) per la prima interfaccia di rete (Net0) e WAN (probabilmente un cavo Ethernet collegato al modem DSL o via cavo o router) per la seconda interfaccia di rete (Net1):

Sui dispositivi Soekris, le interfacce Net0 e Net1 sono connettori RJ-45 per 100 Mbps Etherent e sono etichettate Net0 e Net1. Se stai configurando il tuo PC con più interfacce di rete, dovrai decidere quale interfaccia è quale (ed è una buona idea etichettarli con uno di quei produttori di etichette, quindi ricorderai più tardi!).

Nota: nel caso in cui non sia ovvio, i computer desktop sulla rete domestica dovrebbero essere collegati insieme utilizzando il resto dei connettori sull’hub o sullo switch Ethernet LAN.

Il primo avvio

Una volta collegato il sistema m0n0wall alla rete, è il momento di accenderlo. Sicuramente vorrai vedere la registrazione e i messaggi che vengono stampati sulla console da m0n0wall mentre si avvia. I sistemi Soekris si collegano tramite cavo seriale a un terminale o alla porta seriale di un PC. Un normale PC può connettersi a un monitor standard.

All’avvio di m0n0wall, vedrai molti messaggi passare; la maggior parte delle volte puoi ignorarli e aspettare che appaia il menu della console m0n0wall (gli altri messaggi possono essere utili quando la risoluzione dei problemi hardware):

La figura 4 mostra la console m0n0wall dopo l’avvio con la configurazione predefinita di fabbrica. Vengono visualizzate impostazioni importanti, ad esempio l’indirizzo IP LAN e l’assegnazione corrente delle interfacce di rete. Questa console è dove è necessario modificare alcune impostazioni di configurazione iniziali, a meno che l’hardware non funzioni correttamente con i valori predefiniti m0n0wall (solo i dispositivi Soekris sono suscettibili di farlo).

È inoltre possibile utilizzare la console per ripristinare m0n0wall, nel caso in cui si apportino modifiche tramite il WebGUI che rendono impossibile la connessione a m0n0wall attraverso la rete. Infine, è possibile riavviare m0n0wall, se sono state apportate modifiche alle impostazioni che richiedono il riavvio.

Impostazioni console

Nota: Se si esegue m0n0wall su un dispositivo embedded Soekris net45xx o net48xx, è possibile saltare questa sezione, poiché le impostazioni predefinite di m0n0wall dovrebbero funzionare correttamente.

La console m0n0wall consente di dire m0n0wall le basi di come connettersi alla rete. Devi dire a m0n0wall della tua rete prima di poter utilizzare l’interfaccia di configurazione Web, chiamata WebGUI, perché WebGUI dipende dall’accesso alla rete. In altre parole, non è possibile connettersi a m0n0wall sulla rete fino a quando non si è parlato della rete.

Le informazioni critiche assegnano ruoli alle diverse interfacce di rete. È necessario indicare a m0n0wall quale interfaccia di rete è connessa alla rete interna (LAN) e quale è connessa a Internet (WAN). Questa è la configurazione della porta visualizzata al centro della console, e di apportare modifiche alla configurazione scegliendo la prima opzione del menu della console, Interfacce: assegnare le porte di rete”:

Quando si sceglie l’opzione 1, si ottiene prima un elenco delle interfacce di rete che m0n0wall ha trovato quando ha inizializzato l’hardware su cui è in esecuzione. Queste sono le interfacce di rete di cui è a conoscenza e queste sono le uniche interfacce che è possibile assegnare alle porte m0n0wall. (Qualcosa di interessante da notare in Figura 5 è che l’impostazione predefinita assegna la porta WAN all’interfaccia sis1, ma quando sono elencate le interfacce valide, non c’è un’interfaccia sis1 nell’elenco!)

Ad ogni prompt, immettere il nome dell’interfaccia da assegnare alla porta richiesta. Inserisci solo il nome breve per l’interfaccia, ad esempio de0, sis0, ecc. (la lunga stringa di numeri e lettere è l’indirizzo MAC Ethernet ed è elencata solo a scopo informativo).

Nota: i nomi dell’interfaccia di rete-sis0, de1, ecc. – sono derivati dal nome del “driver” per l’hardware dell’interfaccia. È improbabile che le interfacce di rete abbiano questi nomi su di esse. Potrebbe essere necessario fare alcune ipotesi istruite su quale interfaccia è quale. Basta collegare i cavi Ethernet in, e se non si riesce a connettersi a WebGUI nella sezione successiva, provare a scambiare i cavi.

A beneficio dei proprietari di dispositivi Soekris, le interfacce di rete sono etichettate, ma non con i nomi dei dispositivi. Ecco una rapida mappatura delle etichette sul case ai nomi dei dispositivi che m0n0wall vede:

• Net0 —> sis0 (deve essere collegato alla rete LAN)
• Net1 —> sis1 (deve essere collegato alla WAN)
• Net2 —> sis2 (può essere collegato alla DMZ, non descritti in questa guida)

L’altra impostazione che si potrebbe desiderare di cambiare è l’indirizzo IP della LAN. Questo è l’indirizzo IP del sistema m0n0wall così come appare sulla rete interna. L’impostazione predefinita è utilizzare un indirizzo IP speciale per l’uso solo su reti private. Se si prevede di utilizzare NAT per consentire a più sistemi interni di condividere un singolo indirizzo IP “pubblico”, l’indirizzo IP LAN predefinito m0n0wall dovrebbe funzionare correttamente per la configurazione.

Questa guida presuppone che si utilizzi l’impostazione predefinita sulla rete. Reti e configurazioni più complicate non sono discusse in questa guida; tuttavia, c’è una ricchezza di informazioni su questo argomento disponibili su Internet.

Dopo aver assegnato le interfacce di rete alle porte, sarà necessario riavviare m0n0wall. Se m0n0wall non offre di farlo per te, scegli semplicemente l’opzione 5, “Riavvia il sistema” dal menu della console. Una volta che m0n0wall termina il riavvio, è il momento di riconfigurare almeno un computer client sulla LAN per conoscere m0n0wall e quindi passare all’interfaccia di configurazione web, WebGUI.

Configurazione client

Una volta che m0n0wall è configurato per la rete e si è riavviato per attivare tale configurazione, si desidera che i sistemi sulla rete interna (LAN) si connettano a Internet tramite m0n0wall. Per la maggior parte delle situazioni, questo non potrebbe essere più semplice. m0n0wall può inviare automaticamente le impostazioni di rete a tutti i client della rete all’avvio dei sistemi client. Tutto quello che dovete fare è configurare i sistemi client per ottenere le loro impostazioni di rete tramite DHCP:

m0n0wall è molto flessibile su come lavorare con i client LAN. Esistono altre possibilità di configurazione, tra cui indirizzi IP statici configurati sul lato client, DHCP che assegna indirizzi IP fissi ai client in base al loro indirizzo MAC Ethernet e altri. Ci sono spesso buone ragioni per volere queste configurazioni, ma per la maggior parte delle reti domestiche è eccessivo. Questa guida non affronta queste configurazioni più complesse.

Presentazione dell’applicazione di configurazione Web (WebGUI)

L’applicazione di configurazione Web m0n0wall, WebGUI, è dove vengono apportate la maggior parte delle modifiche alla configurazione di m0n0wall. Le interfacce web consentono un’esperienza utente molto più piacevole rispetto al tentativo di configurare dalla console tutte le diverse funzionalità integrate in m0n0wall. WebGUI è sia facile da usare e piacevole da guardare, fornendo un’interfaccia di alta qualità, dall’aspetto professionale per m0n0wall.

Per connettersi al WebGUI m0n0wall, digitare nel campo Posizione del browser l’indirizzo IP LAN elencato nella console m0n0wall. Per impostazione predefinita questo sarebbe http://192.168.1.1/. Ti verrà richiesto un login e una password. Il login è “admin” e la password predefinita è “mono”. (Questo sarà cambiato nella fase successiva!)

Dopo aver inserito le informazioni di autenticazione, se hai impostato correttamente la tua rete fisica, le impostazioni della console m0n0wall e le impostazioni di rete del tuo client, ti verrà presentata la schermata iniziale di m0n0wall WebGUI:

Congratulazioni! Hai fatto l ‘ 80% del lavoro per configurare m0n0wall per servire e proteggere la tua rete! Quasi tutto il duro lavoro è dietro di te.

Configurazione generale

Una volta effettuato l’accesso all’interfaccia di configurazione WebGUI è possibile completare la configurazione di m0n0wall per la rete. Il primo passo è cambiare la password amministrativa predefinita, che viene eseguita nel pannello Sistema / Configurazione generale:

Immettere la nuova password amministratore nei campi Password a metà del pannello Impostazioni generali e fare clic sul pulsante Salva in basso. Non preoccuparti per le altre impostazioni ancora, basta cambiare la password. (Dimenticando di cambiare le password predefinite è il buco di sicurezza numero uno nell’infrastruttura di rete.) m0n0wall dovrebbe segnalare che ha salvato correttamente le modifiche.

Dopo aver modificato la password di amministratore, è possibile rivedere e aggiornare il resto delle opzioni nel pannello di configurazione generale. Le impostazioni più importanti sono:

• Dominio, se si dispone di un
• server DNS (propri o di quelli forniti dal tuo ISP)
• fuso orario (scegliere una città nel vostro fuso orario; a meno che non sei fortunato, la tua città non sarà in lista)

Se si sarà mai l’amministrazione di m0n0wall in remoto da una rete pubblica, si dovrebbe anche cambiare la webGUI protocollo HTTPS. Se lo fai, ricorda che l’URL per accedere a WebGUI cambierà in https://192.168.1.1/ (se stai usando l’indirizzo predefinito) — nota che l’URL ora inizia con https, non http.

Inoltre, quando si accede al nuovo URL, il browser può dare un avviso di non essere in grado di verificare l’autenticità del sito. È possibile eliminare questo messaggio fornendo al server un certificato SSL, nella sezione Certificato SSL WebGUI / chiave del pannello Diagnostica / Impostazioni avanzate. Questo è oltre lo scopo di questa guida. ]

Le altre impostazioni qui possono essere utili da modificare, ma non le tratteremo in questa guida.

Configurazione dell’interfaccia LAN

Per configurare o rivedere le impostazioni dell’interfaccia LAN, andare al pannello Interfacce / LAN:

Le impostazioni qui consentono di configurare l’intervallo di indirizzi IP che possono essere utilizzati sulla rete interna. Se si dispone di una rete relativamente piccola (meno di 200 sistemi) e si prevede di utilizzare NAT per collegarli a Internet, non vi è alcun buon motivo per apportare modifiche alle impostazioni predefinite m0n0wall per l’interfaccia LAN.

Se la tua rete interna è grande e hai quindi bisogno di una gamma più ampia di indirizzi IP, puoi apportare questa modifica qui. Immettere l’indirizzo IP per m0n0wall sulla rete interna, quindi, utilizzando il menu a comparsa netmask in stile CIDR, dire quanto è grande per rendere la rete. Se la rete è più grande di 200 sistemi, si può anche andare tutti qui, e immettere 10.0.0.1 / 8, per allocare una vasta gamma di indirizzi IP alla rete interna.

Mentre il numero di campi delle impostazioni su questo pannello è piccolo, la gamma di possibilità e le ragioni per apportare modifiche dai valori predefiniti sono piuttosto grandi. Se le tue esigenze non sono soddisfatte dai valori predefiniti qui, probabilmente hai bisogno di un riferimento di rete molto più grande di questa guida. ]

Configurazione dell’interfaccia WAN

Il passaggio finale per la configurazione di m0n0wall per la prima volta consiste nella configurazione dell’interfaccia WAN. Questo viene fatto utilizzando il pannello Interfacce / Impostazioni WAN:

Le impostazioni qui dicono a m0n0wall come connettersi alla rete esterna, di solito la connessione del tuo ISP a Internet. Esistono vari modi in cui le reti esterne consentono le connessioni, motivo per cui questo pannello delle impostazioni sembra così complicato. Non preoccuparti, non devi compilare tutto!

Per prima cosa, devi dire a m0n0wall che tipo di connessione fare. Ci sono quattro diversi tipi possibili di interfaccia WAN, e questi sono impostati tramite il menu a comparsa Tipo. Il tipo scelto dipenderà dal tipo di rete a cui ci si connette. Le prime tre opzioni (DHCP, Statico e PPPoE) sono più frequentemente utilizzate per connettersi a Internet tramite un ISP. L’ultima opzione (PPTP) viene comunemente utilizzata per connettersi a reti private, ovvero collegare un ufficio satellitare con la rete aziendale principale. PPTP non sarà discusso qui.

Per ogni tipo di connessione, c’è una sezione più in basso nel pannello, che consente di inserire i dettagli della connessione. Hai solo bisogno di compilare i dettagli per il tipo di connessione che hai scelto. Tutte le altre informazioni possono e devono essere lasciate vuote. Ciò significa che il pannello delle impostazioni dell’interfaccia WAN è molto più semplice di quanto sembri.

Interfaccia DHCP WAN

Allo stesso modo in cui m0n0wall può utilizzare DHCP per distribuire le impostazioni di rete ai sistemi client, l’ISP può utilizzare DHCP per fornire le impostazioni di rete per m0n0wall da utilizzare per se stesso. Se la rete del tuo ISP fornisce DHCP, questo è di gran lunga il modo più semplice per configurare. Infatti, poiché questa è l’impostazione predefinita, la connessione di rete potrebbe già funzionare! (Vai avanti e prova, come descritto in Test della connessione di rete qui sotto.)

L’unica impostazione che potrebbe essere necessario fornire per una connessione DHCP è il nome host, nella sezione configurazione client DHCP del pannello. Il tuo ISP dovrà dirti cosa, semmai, mettere in questo campo. Ma se la tua connessione funziona già, puoi lasciarla vuota.

Dopo aver inserito le informazioni appropriate nella sezione interfaccia DHCP WAN, fare clic sul pulsante Salva nella parte inferiore del pannello.

Interfaccia WAN statica

Se hai ricevuto un indirizzo IP fisso dal tuo ISP (al contrario di un indirizzo IP dinamico, che cambia regolarmente), allora vorrai configurare un’interfaccia WAN statica. Questo è comunemente il caso se si dispone di un contratto di servizio” business-class connection ” con il proprio ISP, che tra le altre cose consente di eseguire i propri server senza violare i termini di servizio del proprio ISP. Ma ci sono una serie di motivi per cui potresti avere un indirizzo IP fisso o statico fornito dal tuo ISP. In ogni caso, se ti hanno dato un indirizzo IP e una maschera di rete da utilizzare nelle impostazioni di rete, questa è la strada da percorrere.

Configurare un’interfaccia WAN statica non è molto più difficile di un’interfaccia WAN DHCP, una volta raccolte le informazioni necessarie come descritto all’inizio di questo documento. Avrai bisogno dei seguenti dettagli:

• m0n0wall IP address
• Network gateway IP address
• Network netmask

Immettere l’indirizzo IP m0n0wall nel campo indirizzo IP e l’indirizzo IP del gateway di rete nel campo Gateway.

La maschera di rete è un po ‘ complicata. La maggior parte degli ISP e dei sistemi operativi desktop visualizza la maschera di rete come una serie di quattro numeri separati da punti (molto simili a un indirizzo IP), ad esempio 255.255.255.248. m0n0wall utilizza la notazione in stile CIDR, che è una barra ( ” / ” ) e un numero compreso tra 1 e 31. Si entra tramite il menu a comparsa dopo il campo indirizzo IP.

Spiegare le differenze o la formula di conversione è più complicato di quanto valga la pena. Ecco una tabella di traduzione che puoi utilizzare per convertire dalle netmasks in stile tradizionale più probabili alle netmasks in stile CIDR:

Traditional Netmask	CIDR Netmask
255.255.255.254	31
255.255.255.252	30
255.255.255.248	29
255.255.255.240	28
255.255.255.224	27
255.255.255.0	24
255.255.0.0	16

Dopo aver inserito le informazioni appropriate nella sezione Interfaccia WAN statica, fare clic sul pulsante Salva nella parte inferiore del pannello.

Interfaccia PPPoE WAN

Il PPP era il modo standard di connettersi a Internet tramite una connessione remota utilizzando un normale modem e una linea telefonica. PPPoE è un modo di fare PPP su Ethernet, invece di una linea telefonica.

Anche se sembra complicato, la buona notizia è che PPPoE è il secondo tipo di interfaccia WAN più semplice da configurare, dopo DHCP. È sufficiente collegare il nome utente e la password PPPoE nella sezione di configurazione PPPoE del pannello delle impostazioni dell’interfaccia WAN.

Potresti anche aver bisogno del nome del servizio in questa stessa sezione, ma come suggerisce l’interfaccia m0n0wall, probabilmente puoi saltarlo. Prova a connetterti in bianco, e se non funziona, cerca questo nelle informazioni inviate dal tuo ISP, ecc.

Dopo aver inserito le informazioni appropriate nella sezione interfaccia PPPoE WAN, fare clic sul pulsante Salva nella parte inferiore del pannello.

Verifica della connessione di rete

Una volta immesse le impostazioni necessarie come descritto sopra, si è pronti per testare la connessione di rete. Il modo più semplice per farlo è visitare un sito Web pubblico utilizzando lo stesso browser web che hai appena utilizzato per configurare m0n0wall. Prova yahoo.com, google.com, o itunes.com per cominciare. Se uno dei siti viene caricato, la configurazione m0n0wall probabilmente funziona correttamente. Felicitazioni!

È possibile testare altri tipi di connessioni di rete oltre alle connessioni Web, poiché alcuni protocolli di rete si comportano in modo diverso rispetto al protocollo HTTP che è alla base del web.

Un esempio che merita il controllo è FTP, che deve sicuramente essere configurato correttamente per funzionare da dietro m0n0wall. Per impostazione predefinita, m0n0wall supporta solo FTP “passivo” e l’FTP “attivo” rischia di fallire. (La differenza tra FTP attivo e passivo è complicata.) Potrebbe essere necessario apportare modifiche alla configurazione al sistema o agli strumenti di trasferimento file:

Altre applicazioni che potresti voler testare in questo momento includono lettori multimediali in streaming. Vai a QuickTime.com e guardare alcuni trailer di film. Vai a NPR.org e ascoltare alcune notizie, o l’ultimo episodio di Aria fresca. Utilizzare iTunes per ascoltare alcuni esempi di musica da iTunes Music Store.

Testare il firewall

Testare in modo efficace e completo un firewall è un argomento che va ben oltre lo scopo di questa guida. Tuttavia, si può fare uso di ShieldsUP Gibson Research Corporation! servizio per testare rapidamente il nuovo gateway m0n0wall. Mentre nessun sostituto per una valutazione professionale della sicurezza della rete, è un ottimo modo per identificare alcuni dei fori più facili da collegare si può avere trascurato.

Risoluzione dei problemi

]